- Ongeveer 160.000 entiteiten in de hele EU vallen nu onder het bereik, veel meer dan NIS1
- U heeft 24 uur de tijd om een vroegtijdige waarschuwing in te dienen nadat u een aanzienlijk incident heeft ontdekt
- Beheersorganen zijn persoonlijk aansprakelijk als de vereiste maatregelen niet worden geïmplementeerd
- Artikel 21 schrijft tien specifieke veiligheidsmaatregelen voor, van beveiliging van de toeleveringsketen tot MFA
- Essentiële entiteiten riskeren boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet
Waarom NIS2 een fundamenteel andere verplichting is
NIS1 omvatte ongeveer 5.000 entiteiten in de hele EU. NIS2 brengt ongeveer 160.000 in bereik. De oorspronkelijke richtlijn was gericht op exploitanten van kritieke infrastructuur en op een beperkt aantal digitale dienstverleners. NIS2 strekt zich uit tot middelgrote en grote ondernemingen in 18 sectoren, waaronder de gezondheidszorg, financiële dienstverlening, productie, voedselproductie en postdiensten.
De andere belangrijke verandering is de handhaving. Onder NIS1 liepen de lidstaten op het gebied van naleving en sancties sterk uiteen. NIS2 specificeert boetes rechtstreeks in de richtlijntekst: tot € 10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten (welke het hoogste is), en tot € 7 miljoen of 1,4% van de wereldwijde omzet voor belangrijke entiteiten. Nationale toezichthouders in Nederland (het NCSC en sectorspecifieke instanties) hebben nu de bevoegdheid om organisaties die zich niet aan de regels houden, te controleren, te bestraffen en publiekelijk te benoemen. NIS2 introduceert ook persoonlijke aansprakelijkheid voor het management: uw bestuur kan rechtstreeks verantwoordelijk worden gehouden voor het goedkeuren van en toezicht houden op maatregelen voor cyberbeveiligingsrisicobeheer. Als er een inbreuk plaatsvindt en uw organisatie kan niet aantonen dat het management zijn verplichtingen serieus heeft genomen, worden individuele bestuurders geconfronteerd met blootstelling.
Bent u binnen bereik?
NIS2 sorteert entiteiten in twee lagen op basis van sector en grootte. Essentiële entiteiten komen uit elf cruciale sectoren: energie, transport, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten, openbaar bestuur en ruimtevaart. Belangrijke entiteiten komen uit nog zeven sectoren: post- en koeriersdiensten, afvalbeheer, chemicaliën, voedselproductie en -distributie, productie (medische apparatuur, computers, machines, motorvoertuigen), digitale aanbieders (onlinemarktplaatsen, zoekmachines, sociale platforms) en onderzoeksorganisaties.
Groottedrempels zijn van belang voor beide niveaus. Middelgrote ondernemingen (50 tot 249 werknemers, of €10 miljoen tot €49 miljoen jaaromzet) en hoger vallen over het algemeen binnen de reikwijdte. Kleine ondernemingen (minder dan 50 werknemers, minder dan 10 miljoen euro omzet) zijn doorgaans vrijgesteld, met uitzonderingen voor bepaalde categorieën, zoals de enige aanbieders van kritieke diensten in hun lidstaat.
Sommige entiteiten vallen binnen de reikwijdte, ongeacht hun grootte. DNS-providers, TLD-naamregisters, cloud computing-providers, datacenterexploitanten, netwerken voor inhoudslevering en aanbieders van beheerde beveiligingsdiensten komen allemaal automatisch in aanmerking. Als uw organisatie in een van deze categorieën valt, is de vraag over het personeelsbestand niet relevant.
NIS2 is alleen van toepassing binnen de EU-lidstaten. Het VK opereert onder zijn eigen Network and Information Systems Regulations (2018), die afzonderlijk worden bijgewerkt door het DCMS. Als uw organisatie activiteiten in de EU of in de EU gevestigde klanten heeft, vallen deze activiteiten onder NIS2, zelfs als uw hoofdkantoor in Londen is gevestigd. Verwacht wordt dat Groot-Brittannië een herzien NIS-kader zal invoeren, maar er is geen omzettingsdatum vastgesteld vanaf begin 2026.
De tien veiligheidsmaatregelen onder artikel 21
Artikel 21 van NIS2 specificeert de minimale beveiligingsmaatregelen die alle entiteiten binnen het toepassingsgebied moeten implementeren. Dit zijn geen ambitieuze richtlijnen. Toezichthouders kunnen de naleving van elk van hen controleren.
De meeste organisaties beschikken al over gedeeltelijke controles op deze gebieden. De kloof bestaat meestal uit ongedocumenteerde processen, ongeteste herstelplannen en toeleveringsketenclausules die op papier bestaan maar nooit zijn gevalideerd.
Incidentmelding: de drie deadlines
NIS2 introduceert een meldingsvereiste in drie fasen voor significante incidenten. Een significant incident is een incident dat ernstige operationele verstoringen of financiële verliezen veroorzaakt of dreigt te veroorzaken, of andere entiteiten of andere lidstaten treft.
De tijdlijnen lopen vanaf het moment dat uw organisatie zich bewust wordt van het incident, niet vanaf het moment dat het begon.
- 24 uur: vroege waarschuwing. Informeer het relevante CSIRT of de bevoegde autoriteit dat er een significant incident heeft plaatsgevonden. In dit stadium volstaat een korte beschrijving en een indicatie of het incident opzettelijk of kwaadwillig lijkt te zijn.
- 72 uur: incidentmelding. Een vollediger beoordeling: aanvankelijke ernst, indicatoren van compromissen en getroffen diensten.
- 1 maand: eindrapport. Een volledige analyse van de hoofdoorzaak, de genomen herstelstappen, eventuele grensoverschrijdende gevolgen en de geleerde lessen.
De deadline van 24 uur overrompelt de meeste organisaties, omdat de reactieprocessen bij incidenten doorgaans eerst gericht zijn op de beheersing en pas op de tweede plaats op de melding. Als uw incidentresponsplan geen wettelijke kennisgevingsstap bevat in het eerste uur van een gemeld incident, moet het worden bijgewerkt voordat een echte gebeurtenis het probleem afdwingt.
Als u binnen 24 uur uw bevoegde autoriteit op de hoogte stelt, hoeft u niet een volledig beeld van het incident te hebben. De vroegtijdige waarschuwing is er juist om de autoriteiten de tijd te geven om te helpen. Het uitstellen van de melding terwijl u onderzoek doet, is een veelgemaakte fout en trekt de aandacht van de handhavingsautoriteiten.
Managementverantwoording: het onderdeel dat de meeste organisaties missen
NIS2 Artikel 20 legt expliciete verplichtingen op aan het senior management. Bestuurders en C-suite managers moeten maatregelen voor cyberbeveiligingsrisicobeheer goedkeuren, toezicht houden op de implementatie ervan en regelmatig cyberbeveiligingstraining krijgen.
Dit is nieuw terrein. Voorheen was cybersecurity een IT-functie waarover het management jaarlijks werd geïnformeerd. Onder NIS2 kunnen bestuursleden geconfronteerd worden met persoonlijke sancties voor overtredingen. De richtlijn vereist dat lidstaten het management persoonlijk aansprakelijk stellen, en van nationale toezichthouders wordt verwacht dat zij individuen vervolgen, en niet alleen boetes tegen de organisatie.
De opleidingsplicht is concreet: het management moet de cybersecurity-training voldoende voltooien om cybersecurity-risico’s te identificeren en te beoordelen en de impact ervan op de bedrijfsvoering te evalueren. Veel besturen zijn momenteel niet uitgerust om dit aan te tonen. Een briefingmemo van één pagina voldoet niet aan de eis. Een gedocumenteerd trainingsprogramma, met aanwezigheidsregistratie, doet dat wel.
Wat nu te doen
Als u uw NIS2-blootstelling nog niet in kaart heeft gebracht, doe dit dan binnen de komende 30 dagen. Begin met sector en omvang om uw niveau te bevestigen en werk vervolgens artikel 21 door als een nalevingscontrolelijst, waarbij u noteert waar u gedocumenteerd bewijsmateriaal heeft en waar er informeel controles bestaan.
- Bepaal uw entiteitsniveau (essentieel of belangrijk) en bevestig uw registratieplicht bij de relevante nationale autoriteit in elke EU-lidstaat waar u actief bent.
- Breng Artikel 21 in kaart met uw huidige controles. Geef prioriteit aan gedocumenteerde hiaten boven informele hiaten: toezichthouders zoeken naar bewijs, niet naar mondelinge zekerheid.
- Werk uw incidentresponsplan bij met het meldingsproces in drie fasen en benoem de persoon die verantwoordelijk is voor de communicatie over de regelgeving tijdens een incident.
- Leverancierscontracten beoordelen. Beveiligingsclausules moeten afdwingbaar zijn en het recht op controle omvatten voor uw meest kritische derde partijen.
- Voer een trainingssessie op boardniveau uit en documenteer deze. Notulen van het bestuur waarin wordt opgemerkt dat discussies over cyberveiligheid nuttig zijn; een gestructureerd trainingsprogramma met aanwezigheidsregistratie is beter.
- Laat een onafhankelijke beoordeling van de tekorten uitvoeren als u dat nog niet heeft gedaan. Een audit door de bevoegde autoriteit zal hetzelfde terrein bestrijken, maar op een veel minder geschikt tijdstip.
NIS2 handhaving is actief in Nederland. Het NCSC en de sectortoezichthouders zijn nu bezig met de registratieverplichtingen en initiële audits. Een organisatie die naar een toezichthouder komt met een ingevulde gap assessment en een herstelplan bevindt zich in een wezenlijk andere positie dan een organisatie die niets heeft gedaan.
De NIS2-richtlijn is volledig gepubliceerd op EUR-Lex (Richtlijn 2022/2555). De Nationaal Cyber Security Centrum publiceert Nederlandse implementatierichtlijnen, sectorspecifieke vereisten en het registratieproces voor verplichte entiteiten.